Isang $6 milyong<\/strong> pagsasamantala sa isang hindi kilalang Base vault ang nagbukas ng mga isyu sa pag-uulat ng kahinaan, ayon kay Gon\u00e7alo Magalh\u00e3es<\/strong>, pinuno ng seguridad ng Immunefi<\/em>. Sa oras ng insidente, humigit-kumulang $31.7 milyon<\/strong> ang natira sa vault.<\/p>\n Ayon kay Magalh\u00e3es, ang mga hindi kilalang operator ng vault ay nag-iwan ng kaunting opsyon para sa mga whitehat researcher<\/strong> upang matugunan ang kahinaan ng whitelist nito nang hindi nalalagay sa panganib ang kanilang legal na katayuan. Ang kahinaan ay natukoy noong nakaraang linggo, ngunit walang malinaw na channel ng pag-uulat para sa mga researcher.<\/p>\n “Mahigit sa 24 na oras pagkatapos ng pag-atake, walang koponan ang nag-angkin sa vault, umamin sa pagkawala, o nag-anunsyo ng remedyo.”<\/p>\n<\/blockquote>\n Iniulat ng TokenPost<\/em> na ginamit ng umaatake ang isang Safe multisignature wallet<\/strong> upang magdagdag ng isang mapanlinlang na kontrata sa lending whitelist ng vault. Ang kontrata ay nag-withdraw ng 1,783 aBaswstETH<\/strong> at tinubos ang mga token sa pamamagitan ng Aave V3<\/strong> para sa humigit-kumulang 1,783 wstETH<\/strong>.<\/p>\n Ayon kay Magalh\u00e3es, ang paghihigpit ng access sa mga aprubadong address ay nagbigay ng maling pakiramdam ng seguridad, dahil ang mga umaatake ay karaniwang nahihirapang makapasok sa whitelist. Gayunpaman, sa sandaling ang isang address ay nakatanggap ng pag-apruba, pinahintulutan ng vault na kunin ito ang mga asset nang walang kinakailangang collateral.<\/p>\n “Ngunit dahil ang anumang whitelisted address ay maaaring kunin ang aBaswstETH ng vault nang walang kinakailangang collateral, ito ay talagang nagiging isang pangunahing kahinaan.”<\/p>\n<\/blockquote>\n Inilarawan ni Magalh\u00e3es ang whitelist bilang hindi sapat na proteksyon laban sa kakayahang iyon ng withdrawal. Bago ang pagsasamantala, ang vault ay hindi nag-execute ng Safe transaction sa loob ng 25 araw<\/strong>. Binanggit ng TokenPost<\/em> ang social engineering at collusion bilang mga posibleng paliwanag para sa pagbabago ng access, ngunit wala sa mga ito ang naitatag.<\/p>\n Sa pitong hindi pa natutukoy na Safe signers, hinimok ni Magalh\u00e3es ang mga tao na kumokontrol sa wallet na kilalanin ang kanilang sarili at tumugon. Sinabi niya na ang kanilang patuloy na katahimikan ay nagdudulot ng pagdududa, na hindi ipinapakita ang alalahaning iyon bilang patunay ng pagkakasangkot sa pagnanakaw.<\/p>\n Para sa researcher na nakahanap ng kahinaan, sinabi ni Magalh\u00e3es na ang kakulangan ng isang nakikilalang operator ay nagpapahirap sa anumang pagtatangkang makialam nang ligtas. “Isinasalang-alang na ito ay isang hindi kilalang vault, ang isang whitehat ay halos hindi makagawa ng anumang aksyon na may garantiya na hindi sila maiiwan sa legal na problema.”<\/strong><\/p>\n Noong Setyembre 21, tinugunan ni Immunefi CEO Mitchell Amador<\/strong> ang pribadong pag-uulat at awtorisasyon kasunod ng Liquid Network exploit. Sinabi ni Amador na ang mga researcher ay dapat mag-ulat ng mga kahinaan nang pribado, mas mabuti sa pamamagitan ng isang tinukoy na bounty program, sa halip na ilipat ang mga pondo ng gumagamit at makipag-ayos ng bayad pagkatapos.<\/p>\n “Ang mga protocol ay dapat magtatag ng mga kondisyon ng pagsagip bago ang isang emerhensya, kabilang ang mga aksyon na maaaring gawin ng isang researcher at ang mga tuntunin ng gantimpala.”<\/p>\n<\/blockquote>\n Sa isang ulat noong Agosto 10 tungkol sa mga resulta ng bug bounty ng Hulyo, sinabi ng Immunefi<\/em> na ang mga researcher ay nakatanggap ng $2.32 milyon<\/strong> para sa mga nakumpirmang kahinaan sa loob ng buwan. Ang mga nakumpirmang at binayarang ulat ay tumaas ng 18%<\/strong> mula Hunyo, habang sinabi ng kumpanya na ang mga programa nito ay nakapagpigil ng 374 na banta<\/strong>.<\/p>\n Higit pa sa lohika ng kontrata, itinuro ni Magalh\u00e3es ang imprastruktura at mga kompromiso sa susi bilang ebidensya na ang mga tseke sa seguridad ay dapat sumaklaw sa karagdagang mga ruta patungo sa mga pondo ng gumagamit. Noong Hulyo 20, isang ulat sa mga panganib ng signer at imprastruktura ang binanggit ang natuklasan ng Hacken<\/em> na ang mga pagkukulang na iyon ay nagkakahalaga ng 88.3%<\/strong> ng humigit-kumulang $764 milyon<\/strong> na ninakaw sa ikalawang kwarter.<\/p>\n Sa 1,427 na nasubaybayang proyekto, natagpuan ng Hacken na tanging 4%<\/strong> ang pinagsama ang mga audit, aktibong bug bounty at third-party monitoring. Nakilala rin ng Hacken ang 14<\/strong> na proyekto na na-exploit na nakatapos ng mga audit.<\/p>\n Ayon sa ulat nito, ang mga pagkukulang ay kinabibilangan ng mga device ng signer, mga susi ng administrator, mga bridge validators, at mga backend system na nasa labas ng code na sakop ng mga karaniwang pagsusuri. Sa Estados Unidos, inusig ng Justice Department ang isang security engineer na nagsamantala sa mga decentralized exchange at nakipag-ayos sa pagbabalik ng mga ninakaw na asset.<\/p>\n Noong Disyembre 2023, inihayag ng mga pederal na tagausig na si Shakeeb Ahmed<\/strong> ay umamin ng pagkakasala sa computer fraud matapos i-hack ang dalawang exchange at makakuha ng higit sa $12 milyon<\/strong>. Ayon sa departamento, pumayag si Ahmed na ibalik ang mga pondo sa isang exchange maliban sa $1.5 milyon<\/strong> kung hindi ito nag-ulat ng pag-atake sa mga awtoridad.<\/p>\n Sa hiwalay na pag-atake ng Nirvana Finance<\/em>, sinabi ng mga tagausig na nag-alok ang protocol kay Ahmed ng bounty na hanggang $600,000<\/strong> upang ibalik ang mga ninakaw na asset. Humiling siya ng $1.4 milyon<\/strong> sa halip, walang naabot na kasunduan, at pinanatili ang humigit-kumulang $3.6 milyon<\/strong> na kanyang kinuha.<\/p>\n","protected":false},"excerpt":{"rendered":" Pagbubukas ng Isyu sa Seguridad ng Base Vault Isang $6 milyong pagsasamantala sa isang hindi kilalang Base vault ang nagbukas ng mga isyu sa pag-uulat ng kahinaan, ayon kay Gon\u00e7alo Magalh\u00e3es, pinuno ng seguridad ng Immun…<\/p>\n","protected":false},"author":3,"featured_media":23211,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[47],"tags":[11786,4293,4947,4313,9636,12657,9932,10755],"class_list":["post-23212","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hack","tag-aave-v3","tag-base","tag-blockstream","tag-hack","tag-immunefi","tag-liquid-network","tag-mitchell-amador","tag-wsteth"],"yoast_head":"\nKakulangan ng Pag-uulat at Pagsisiyasat<\/h2>\n
\n
Paraan ng Pagsasamantala<\/h2>\n
\n
Mga Alalahanin sa Seguridad at Responsibilidad<\/h2>\n
Mga Rekomendasyon para sa mga Researcher<\/h2>\n
Mga Pagsisikap sa Responsableng Pag-uulat<\/h2>\n
\n
Mga Resulta ng Bug Bounty<\/h2>\n
Mga Panganib at Kompromiso<\/h2>\n
Mga Legal na Kaso at Bounty Offers<\/h2>\n